張戈博客很久以前分享過一個(gè)CC攻擊的防御腳本，寫得不怎么樣，不過被51CTO意外轉(zhuǎn)載了。博客從此走上了經(jīng)常被人拿來練手的不歸之路。

當(dāng)然，還是有不少朋友在生產(chǎn)環(huán)境使用，并且會留言詢問相關(guān)問題。根據(jù)這些問題的需求，我花了一些時(shí)間重新寫了一個(gè)比較滿意的輕量級CC攻擊防御腳本，我給它取了一個(gè)比較形象的名字：CCKiller，譯為CC終結(jié)者。

一、功能申明

分享之前我必須先申明一下，眾所周知，DDoS攻擊指的是分布式拒絕服務(wù)。而CC攻擊只是DDoS攻擊的一種，本文所闡述的CC攻擊，指的是每個(gè)IP都以高并發(fā)請求攻擊，而非分布式海量IP的低并發(fā)DDoS攻擊！

對于個(gè)人低配服務(wù)器，除了使用CDN來防護(hù)，至少我是沒有想到如何抵擋海量IP攻擊的！因?yàn)槊總€(gè)IP都用正常的UA來請求，而且每個(gè)IP的低并發(fā)請求和正常用戶請求一樣，并不會觸發(fā)防御閾值，同時(shí)來1000個(gè)，甚至上萬個(gè)，個(gè)人低配服務(wù)器的帶寬在第一時(shí)間就會被占滿，無法繼續(xù)提供服務(wù)！

所以，如果你的網(wǎng)站正受到海量IP的低并發(fā)DDoS攻擊，那么本文分享的CCKiller就無能為力了。趕緊去開啟CDN來拓展帶寬吧！

二、功能介紹

通過以上申明，也就大致給CCKiller一個(gè)定位：CCKiller是用于個(gè)人低配服務(wù)器的輕量級CC攻擊防御，可以抵擋單個(gè)IP產(chǎn)生的高并發(fā)攻擊。

目前設(shè)計(jì)的功能特性如下：
①、秒級檢查
很多人寫的防御腳本都是使用了Linux系統(tǒng)的計(jì)劃任務(wù)crontab來定時(shí)檢查的。而crontab的最細(xì)顆粒是1分鐘，也就是說腳本最快也只能1分鐘檢查一次。對于一些強(qiáng)迫癥來說就會很不爽。

所以，我還是按照以前分享的思路，利用while循環(huán)實(shí)現(xiàn)秒級檢查，實(shí)現(xiàn)更細(xì)的顆粒。當(dāng)然，CCKiller更是被我寫成了系統(tǒng)服務(wù)，更加靈活穩(wěn)定。
②、拉黑時(shí)長
CCKiller可以設(shè)置拉黑時(shí)長，默認(rèn)為10分鐘。當(dāng)發(fā)現(xiàn)有惡意請求時(shí)，會自動(dòng)拉黑目標(biāo)IP，并在拉黑時(shí)長結(jié)束后自動(dòng)釋放，這個(gè)功能算是對我之前寫的腳本的一個(gè)大的改進(jìn)。
③、并發(fā)閾值
CCKiller 可以設(shè)定單個(gè)IP的最高請求數(shù)，如果某個(gè)IP同時(shí)請求數(shù)超過了設(shè)定的閾值，就會被暫時(shí)拉黑一段時(shí)間。
④、郵件發(fā)送
這個(gè)功能沒啥好說的，意義并不大。而且發(fā)送成功率和服務(wù)器的環(huán)境也有很大關(guān)系。
⑤、并發(fā)顯示
安裝后，直接運(yùn)行cckiller會列出當(dāng)前系統(tǒng)的請求排行，可以清晰的看到當(dāng)前請求IP和并發(fā)數(shù)。使用-s參數(shù)還可以繼續(xù)定制需求，比如 cckiller -s 10 就能顯示當(dāng)前并發(fā)數(shù)排行前10名的IP。
⑥、手動(dòng)拉黑
支持手動(dòng)拉黑，執(zhí)行后會立即檢查，將并發(fā)請求超過n的IP拉黑一段時(shí)間，比如 cckiller -k 100 就會將目前超過100個(gè)請求的IP拉黑一段時(shí)間，如果沒有則不會執(zhí)行任何拉黑操作。

三、工具安裝
①、在線安裝

由于我可能經(jīng)常會更新一些功能，或修復(fù)一些BUG，所以僅提供在線安裝，以保證腳本是最新的。

安裝非常簡單，執(zhí)行如下命令就能進(jìn)入配置步驟了：

②、工具配置

因?yàn)槊總€(gè)服務(wù)器的情況可能不一樣，所以有一個(gè)自定義配置的過程。

執(zhí)行上述安裝命令后，將會進(jìn)入自選配置部分，如圖：

提示否使用腳本默認(rèn)配置，如果選擇是（y），那么顯示默認(rèn)配置，并詢問是否繼續(xù)：

默認(rèn)配置如下：

如果不使用默認(rèn)配置（n），則會要你輸入?yún)?shù)來自定義配置：

如圖，我將參數(shù)依次定義為每10秒進(jìn)行檢查，拉黑時(shí)長為300秒，發(fā)件人設(shè)置為博客郵箱，并發(fā)限制設(shè)置為60，回車后會彈出一個(gè)提示，讓你檢查，如果沒問題你直接回車就會安裝并啟動(dòng)：

③、服務(wù)控制

安裝后，會將cckiller注冊成系統(tǒng)服務(wù)，這時(shí)你就可以使用service來控制cckiller了。
使用標(biāo)準(zhǔn)的service定義，支持 start | stop | restart | status 四個(gè)參數(shù)。所以，你可以使用
service cckiller stop來停止cckiller，也可以使用service cckiller status來查看狀態(tài)。

 ④、集成命令

成功安裝后，系統(tǒng)還會多出一個(gè)cckiller的命令，這個(gè)命令現(xiàn)有功能如下：
cckiller -h可以調(diào)出幫助信息：

我蹩腳的英文也能湊合解釋一下功能了吧~

-k 是拉黑功能，需要在后面帶上你想拉黑的并發(fā)數(shù)，比如 cckiller -k 100 就會拉黑當(dāng)前請求數(shù)大于100的IP一段時(shí)間（和拉黑時(shí)長一致）

-s 是顯示并發(fā)排名，也需要在后面帶上數(shù)字，比如 cckiller -s 10 就能顯示當(dāng)前并發(fā)數(shù)排行前10名的IP。
⑤、文件結(jié)構(gòu)
如上圖所示，腳本安裝目錄為/usr/local/cckiller，其結(jié)構(gòu)如下：

cckiller/
├── cckiller       #主程序
├── log/           #日志目錄（ver 1.0.1新增特性）
├── ck.conf        #配置文件
├── ignore.ip.list #白名單
└── install.sh     #安裝和卸載腳本
 
0 directories, 5 files

很簡單也比較規(guī)范的的結(jié)構(gòu)，當(dāng)然，后續(xù)功能如果越來越多，此結(jié)構(gòu)可能會有所更新，這是后話。

如果你熟悉vim的話，只要編輯ck.conf就可以定義工具參數(shù)了：

如果不熟悉也沒關(guān)系。你還可以執(zhí)行 ./install.sh -c 進(jìn)行工具初始化，重新設(shè)定所有參數(shù)，過程和首次安裝時(shí)一致，這里就不贅述了。
⑥、白名單
工具安裝時(shí)會默認(rèn)將系統(tǒng)所有IP都加入白名單，避免自己把自己給拉黑的尷尬。如果你還有其他要加白的IP，可以將IP加入到cckiller安裝目錄下的ignore.ip.list文件中，每行一個(gè)。

Ps：目前白名單還不支持IP段，敬請期待后續(xù)更新。
⑦、卸載工具
有心的朋友可能注意到了install.sh是可以帶參數(shù)的。我寫代碼的時(shí)候已經(jīng)設(shè)計(jì)了幾個(gè)常用的安裝卸載功能，具體如下：

其中：

-u 參數(shù)用來升級工具，不過目前由于沒時(shí)間還沒寫，所以不可用(Ver 1.0.2已支持在線更新)

-i 參數(shù)用來安裝工具，如果已安裝則會提示并終止

-c 參數(shù)用來配置工具，方便安裝后隨時(shí)修改工具配置

-U 參數(shù)用來卸載工具，注意是大寫哦！

因此，我們可以使用 ./install.sh -U 如圖卸載CCKiller：

四、攻防測試

成功安裝并啟用CCKiller之后，我們可以使用壓力測試工具來測試?yán)诤歪尫判Ч?，比如webbench 或 ab等。
假如CCKiller設(shè)定的并發(fā)限制為100，檢查間隔為10s，使用webbench如下測試：
webbench -c 101 -t 60 http://www.yourwebsite.com/
啟動(dòng)測試后，你可以立即去服務(wù)器上查看防火墻：
iptables -nvL
多刷幾下，就可以看到webbench所在服務(wù)器IP已經(jīng)在DROP規(guī)則中了。
確定已被拉黑之后，你等個(gè)10分鐘再來看防火墻，可以發(fā)現(xiàn)webbench所在服務(wù)器IP已經(jīng)消失了，成功釋放！

Ps：如果郵件發(fā)送功能無誤，那么應(yīng)該也收到了工具發(fā)來的告警郵件，比如有一個(gè)飽受CC攻擊煎熬的站長給我發(fā)來的反饋：

五、更多說明①、配置并發(fā)限制
CCKiller配置最大連接數(shù)限制時(shí)，建議根據(jù)單個(gè)網(wǎng)頁產(chǎn)生的并發(fā)數(shù)來判斷。

情況A： 你網(wǎng)站做了動(dòng)靜分離，那么靜態(tài)的請求就到另一個(gè)域名了（假設(shè)靜態(tài)資源托管在另一臺服務(wù)器或是CDN），單個(gè)IP請求一個(gè)頁面可能就只會產(chǎn)生若干并發(fā)（假設(shè)5個(gè)），我們假設(shè)某個(gè)用戶很猛，他喜歡快速拖拽打開你網(wǎng)站的多個(gè)網(wǎng)頁，比如同時(shí)打開10個(gè)，那么正常用戶的正常最大并發(fā)你也可以基本確定了吧？即并發(fā)限制：10x5=50。如果有人同時(shí)刷新你幾十個(gè)頁面，要說沒惡意你也不相信吧？

情況B： 如果沒有做動(dòng)靜分離，那么一個(gè)頁面產(chǎn)生的并發(fā)可能就比較多了，每個(gè)css、js、圖片都會產(chǎn)生一次請求。所以，在這種情況下就需要稍微計(jì)算一下你網(wǎng)站單個(gè)頁面產(chǎn)生的并發(fā)請求，比如一個(gè)單頁面會產(chǎn)生30個(gè)請求，那么你也需要考慮用戶可能會連續(xù)拖拽多個(gè)頁面的情況，假設(shè)我允許用戶可以同時(shí)刷新10頁面，那么并發(fā)限制就可以設(shè)置為300了，依此類推。

容錯(cuò)：從A和B來看，CCKiller其實(shí)是有一個(gè)盲點(diǎn)的，那就是如果用戶IP是某個(gè)公司的統(tǒng)一出口，也就是代理上網(wǎng)IP，那么工具就容易誤殺無辜了。所以，除了A和B，你還得考慮你網(wǎng)站的受眾人群類型。比如，我就一個(gè)個(gè)人博客，同一時(shí)刻被一個(gè)公司的多名同時(shí)多窗口拖拽訪問，這種情況也不多吧？如果可能存在這種受眾人群，那么這個(gè)并發(fā)限制可以設(shè)置大一些，避免錯(cuò)殺無辜。當(dāng)然，拉黑也就10分鐘而已，也不至于“一失足成千古恨”。。。

當(dāng)然，不管哪種情況，并發(fā)限制都可以比預(yù)估設(shè)置高那么一些，這個(gè)自行斟酌吧！
②、不足與完善
CCKiller是我最近利用閑暇時(shí)間，匆忙之作，難免會有各種問題。也沒時(shí)間進(jìn)行測試和完善。不過目前還是有數(shù)位站長在使用，暫未反饋異常。當(dāng)然， 我分享的是在線安裝方式，也是為后續(xù)的更新提供方便。不過對比我以前寫的防御腳本，CCKiller算是有了長足的進(jìn)步了，很簡單的安裝，更強(qiáng)大的功能！

功能計(jì)劃：

A. 在線升級功能

這個(gè)不用多說，現(xiàn)有的工具已經(jīng)預(yù)留了，后面可能會加入版本判斷和更新的功能。

B. 加入其他安全防護(hù)設(shè)置

目前工具其實(shí)是趕鴨子上架一樣，直接就檢查，也沒有對系統(tǒng)環(huán)境做一些初始化的設(shè)置。比如網(wǎng)站通用的iptables設(shè)置、sync洪水攻擊防御等。后續(xù)會在安裝的時(shí)候會作為一個(gè)可選功能。

C. 集成傻瓜式的防火墻控制功能

并不是每個(gè)站長都會熟練操作iptables，所以可能考慮給cckiller這個(gè)命令集成一個(gè)ban和unban ip的功能，比如禁止一個(gè)ip，執(zhí)行 cckiller -D $ip 即可，降低 iptables 的使用門檻。

另外，值得說明是，CCKiller只適合裸奔的網(wǎng)站，而不適合使用CDN的網(wǎng)站，因?yàn)槭褂肅DN之后，請求過來的IP都是CDN節(jié)點(diǎn)，你總不能把CDN節(jié)點(diǎn)也拉黑了吧？（Ps：其實(shí)也可以用，你把并發(fā)限制稍微設(shè)置高一些就好了，就算拉黑CDN節(jié)點(diǎn)也就拉黑10分鐘而已，不至于影響過大）

針對這個(gè)問題，后續(xù)我會找時(shí)間研究下直接從Nginx日志里面取得真實(shí)來源IP來拒絕訪問。目前已經(jīng)有了階段性的進(jìn)展了，敬請期待！
附錄：更新記錄

2015-09-23 Ver 1.0.1：

支持白名單為IP段新增拉黑改為判斷 iptables 是否已存在操作IP的判斷方式；增加日志記錄功能，每天一個(gè)日志文件，位于安裝目錄下的log文件內(nèi)；集成手動(dòng)拉黑IP和解封IP功能，使用cckiller -b $IP拉黑，使用 cckiller -u $IP 解封。

2015-11-29 Ver 1.0.2：

新增在線更新功能，執(zhí)行 ./install.sh -u 即可檢測是否有新版本：

如果發(fā)現(xiàn)有新版本則顯示更新內(nèi)容，并提示是否執(zhí)行更新。選擇之后將會更新到新版本，需要重新配置，但是IP或端口白名單會保持不變。

新增端口白名單功能

應(yīng)網(wǎng)友需求，新增了這個(gè)端口白名單功能。在配置CCKiller的最后一項(xiàng)會提示輸入端口白名單:

如果需要排除某些端口，請如圖最后一行所示，輸入端口并已逗號分隔，比如 21,2121,8000

本次更新為非必須功能，在用的朋友可以按需更新，當(dāng)然新增了在線更新這個(gè)功能，也強(qiáng)力推薦更新一下，方便后續(xù)檢測CCKiller是否是最新版本。

更新難免存在不可意料的紕漏，使用中存在任何問題請留言告知，謝謝！